情報セキュリティマネジメント試験 科目A 情報セキュリティ管理 練習問題 第15問: 社内で使っている製品の脆弱性について、ベンダーがCVSS v3の値を公表した。情報セキュリティ担当者は、値の意味を確かめるため、IPAの「共通脆弱性評価システム

正解: 3. 現状評価基準は、ベンダーや脆弱性を公表する組織などが評価し、結果は対応状況に応じて時間とともに変わる。

「現状評価基準は、ベンダーや脆弱性を公表する組織などが評価し、結果は対応状況に応じて時間とともに変わる」が適切です。IPAの「共通脆弱性評価システムCVSS v3概説」は、現状評価基準を、攻撃コードの出現や対策情報の有無で脆弱性の現在の深刻度を評価する基準とし、ベンダーや脆弱性を公表する組織などが評価して、時間がたつと値が変わるとしています。基本評価基準の結果は固定していて、時間の経過や利用環境では変わりません。環境評価基準は、利用者であるユーザが自らの対処を決めるために評価する基準で、結果はユーザ毎に変わります。深刻度レベルの「緊急」は9.0〜10.0で、7.0〜8.9は「重要」です。

関連キーワード: CVSS・基本評価基準・現状評価基準・環境評価基準